D'après mon expérience, la gestion n'aime pas écouter les analogies intelligentes. Selon la personne, ils se soucient du résultat net en dollars ou en heures de productivité. J'expliquerais:

Le résultat final est qu'un compromis de nos données coûtera à l'entreprise environ X dollars + Y heures pour récupérer. Ceci est Z% susceptible de se produire étant donné le malware qui se trouve sur cette machine. Une nouvelle installation coûtera A dollars + B heures pour récupérer. Vous choisissez l'action appropriée.

C'est bref et clair et ne leur laisse pas vraiment de place pour argumenter. Ils comprendront clairement le risque et devraient prendre la bonne décision.

J'éviterais les analogies biologiques ou non commerciales (sauf s'il s'agit d'un hôpital). Votre travail consiste à évaluer les risques, les coûts et à proposer des options. Le travail de votre direction est de prendre la décision en fonction de votre analyse et de vos conseils.

En général, une approche sous forme de tableau est la meilleure. «approche», «probabilité de corriger le problème», «coût» sont le minimum nécessaire. Vous pouvez appeler le deuxième "Vegas" si vous devez absolument devenir mignon.

Par exemple, dans ce cas, vous pouvez avoir ce qui suit.

  Approche Prognosis CostRun anti -virus sur la machine 30% 4 heures IT, 4 heures d'indisponibilité Remplacer la machine avec une nouvelle machine 75% 3 000 USD, 16 heures IT, 4 heures d'indisponibilité Machine AV, copier les fichiers utilisateur, remplacer la machine, restaurer 60% 3 000 USD, 24 heures IT, 4 heures utilisateur , 8 heures d'indisponibilité des fichiers  

Dans cette liste (en supposant un bureau d'utilisateur), le vrai problème est le comportement de l'utilisateur. Vous voudrez documenter pourquoi le pronostic est < à 100% pour les différentes options, et pourquoi tout ce qui concerne les fichiers utilisateur est moins efficace que "se débarrasser de l'orbite".

Selon le problème, vous voudrez peut-être ajoutez «ne rien faire» ou «attendre» pour informer votre gestion des risques pour l'entreprise dans son ensemble.

Vous pouvez boire tout l'antivirus au vin rouge que vous voulez essayer pour éviter de contracter le cancer, mais une fois que vous avez cette première tumeur, boire plus ne va pas aider. Vous devez le couper et vous assurer que vous obtenez tout, car si vous ne le faites pas, il reviendra.

Une fois que vous êtes infecté par un virus, les symptômes évidents sont une gêne, mais c'est ce que vous ne pouvez pas voir où se trouve le vrai danger. Les portes dérobées, les rootkits et les botnets peuvent tous se cacher sans aucune indication que quelque chose ne va pas. Parfois, les dangers cachés sont combinés à des dangers évidents, donc vous vous sentez en sécurité une fois que les symptômes évidents ont disparu, mais l'évidence est une distraction du caché.

Une fois que vous savez que vous avez été infecté, vous ne savez pas jusqu'où l'infection va, et ne pas savoir cela signifie que vous ne savez pas ce qui est à risque. La marche à suivre la plus élémentaire consiste à le neutraliser de son orbite. De cette façon, vous savez où vous en êtes et quel est votre risque, même s'il y a un coût important pour recommencer à zéro.

C'est facile - il suffit de terminer la citation dans votre question, de Aliens.

C'est la seule façon d'être sûr.

C'est vraiment tout ce qu'il y a à faire. Ni plus ni moins. Faites-leur savoir que si vous exécutez le logiciel audiovisuel dessus et que le logiciel dit qu'il a trouvé et supprimé le virus, alors peut-être qu'ils vont bien. Peut être. Si le virus a vraiment été supprimé. Si c'était vraiment le seul virus.

Pour répondre à ce que quelqu'un d'autre a publié sur "Comment enregistrer les données utilisateur de la machine", la réponse est que vous ne le faites pas. "ENLEVEZ ET NUKEZ TOUT LE SITE D'ORBIT" Cela signifie que vous restaurez à partir d'une sauvegarde et qu'ils perdent tout ce qui n'a pas été sauvegardé. Ce n'est pas la chose facile à faire, c'est la bonne chose à faire.

Parce que c'est le seul moyen d'être sûr .

Essayez les espions. Le dernier opus de James Bond semble faire des millions d'entrées, donc la foule dans son ensemble est, pour l'instant , réceptive aux histoires d'espionnage. Expliquez qu'une fois que des personnes peu fiables / hostiles sont en charge (c'est la configuration «compromise»), il n'y a aucun moyen de récupérer une sécurité adéquate en leur demandant de le faire ; et pourtant, c'est de cela qu'il s'agit d'exécuter un antivirus sur une machine infectée. Les réseaux d'espionnage du monde entier ont toujours été séparés en cellules autonomes précisément pour que les parties pourries puissent être sectionnées. Une fois qu'un agent a été subverti, vous pouvez peut-être le renverser, mais vous ne lui ferez plus jamais confiance.

Pour compléter la démonstration, parlez des firmwares de clavier infectés, qui souligne la nécessité de vraiment mettre la machine en feu. La réutilisation du matériel, même après un effacement, est risquée. Par conséquent , les gestionnaires / utilisateurs doivent être reconnaissants que nous acceptions de ne pas faire le nettoyage complet, et de nous limiter à un nuking logique , pas physique. Faites croire qu'il s'agit déjà d'un grave compromis de votre part.

Pour être l'avocat du diable, la direction a entendu tout cela. La sécurité est la gestion des risques et ils doivent prendre la décision. Rappelez-leur simplement les outils.

  Risque = Probabilité d'occurrence X impact de l'occurrence  

100% de chance de temps d'arrêt de production pendant la reconstruction et les coûts de reconstruction contre 0,01% de chance de malveillance logiciel ou backdoors restant dans le système.

Qui contrôlerait les portes dérobées? Les cybercriminels commettant des crimes en série depuis la Chine, la Russie ou l'Europe de l'Est. À quoi auraient-ils accès? données système, partages de fichiers, renifleurs de clavier, microphones, caméras, etc. Pour combien pourraient-ils vendre ces informations? Combien de temps pourraient-ils passer inaperçus?

Qu'est-ce que cela signifie pour la machine en question et les informations qu'elle contient?

Ensuite, fournissez votre évaluation de la cible (en utilisant vos informations limitées), et laissez-les prendre la décision. Ils connaissent les finances et ils ont une meilleure idée de la valeur réelle de la cible.

Il existe de nombreux autres vecteurs d'attaque. Employés mécontents, sous-traitants et leur équipement, portes dérobées dans des logiciels légitimes, systèmes de sécurité mal configurés, lecteurs non chiffrés, etc. C'est un monde imparfait. L'argent et le temps consacrés à la réfutation pourraient être mieux dépensés ailleurs, comme la correction de la politique de mot de passe, le renforcement de vos serveurs de messagerie, l'amélioration des sauvegardes, etc.

Du point de vue du technicien, vous avez certainement raison. Mais le PDG ne regarde pas cela du point de vue du technicien. Il faut donc soit présenter l'argument en des termes qui lui semblent sensés.

Aucune solution n'est absolument efficace à 100%. Pas même "le bombarder de l'orbite". Ce que vous obtenez, ce sont des probabilités. Mettez cela sur un tableau coûts-avantages, et vous parlez un langage que le PDG peut comprendre: (les chiffres ne sont que des exemples)

• Donc, si je nettoie seul le malware évident, alors le coût est le plus bas (1 heure de travail / temps d'arrêt) et peut-être que 20% efficace (80% du temps, l'attaquant reviendra rapidement).

• Si je nettoie les logiciels malveillants évidents et passent plus de temps à examiner les fichiers modifiés au cours des 48 dernières heures, puis j'obtiens un taux de réussite et un coût plus élevés: 6 heures de travail / temps d'arrêt, 60% de taux de réussite

• Peut-être que si je fais tout ce qui précède en plus de réinstaller tous les packages système (par exemple sur les systèmes RH: yum reinstall openssh-server etc), alors le coût et les taux de réussite disparaissent plus élevé: 12 heures de travail / temps d'arrêt, 95% de taux de réussite

• Si je fais tout ce qui précède, plus passe plus de temps à vérifier / supprimer les fichiers dans / bin, / sbin / etc., qui n'appartiennent à aucun package, cela ajoute peut-être 4 heures supplémentaires et me donne 3% de points supplémentaires sur mon taux de réussite.

• Enfin, si je le "bombarde depuis l'orbite", j'obtiens le coût et le taux de réussite les plus élevés: 48 heures de travail / temps d'arrêt, 99,995% de taux de réussite

Ensuite, à partir de là, nous calculons combien coûte chaque heure de travail / temps d'arrêt, en plus d'ajouter le coût par incident de chaque exploit, et nous commençons à avoir une idée de quelle solution coûtera probablement le moins / le plus à long terme. Et maintenant, c'est une décision commerciale simple. Les PDG sont doués pour cela.

Bien sûr, les solutions listées ci-dessus supposent un environnement * NIX, mais vous pourriez proposer une liste similaire pour les systèmes Windows. Assurez-vous de lancer AV là-dedans en option avec un taux de réussite associé réaliste .

Voici le hic: les probabilités sont difficiles à trouver. À moins d'avoir fait ou vu beaucoup de ces solutions à mi-chemin, vous n'avez probablement aucune base pour continuer. De plus, convaincre un professionnel de la sécurité de se rallier à la solution 3 ci-dessus quand il sait qu'il ignore spécifiquement certaines menaces potentiellement sérieuses sera une vente difficile.

Mais la décision et le risque sont la responsabilité du PDG, pas du professionnel de la sécurité. Il peut décider d'opter pour une option moins sûre, mais tant qu'il sait quels risques il prend , il devrait être libre de le faire.

C'est difficile. Vous devez utiliser des concepts que la personne moyenne comprendra et trouver un moyen de lui faire prendre soin de lui. J'utiliserais des virus biologiques et comment ils fonctionnent pour expliquer le fonctionnement des virus informatiques, car c'est quelque chose avec lequel tout le monde a de l'expérience et a le potentiel d'amener l'utilisateur à être "sympathique" à la situation de l'ordinateur.

Un virus biologique subvertit une cellule, lui faisant faire ce que le virus veut. Le virus devient essentiellement un zombie. Vous ne pouvez pas faire confiance à la cellule pour faire ce qu'elle est censée faire, et vous ne pouvez pas arrêter la cellule infectée par le virus et la rétablir à nouveau, la machinerie a été si bien maîtrisée que vous ne pouvez que la tuer.

Un virus informatique plus ancien n'imitait pas de très près les virus biologiques. Leur niveau de sophistication était tel qu'ils étaient capables de faire certaines choses, mais pas d'infecter les systèmes au niveau où ils ne pouvaient pas être supprimés. Leur survie dépendait davantage de l'absence d'AV sur le système.

Désormais, les virus informatiques imitent bien plus étroitement les virus biologiques, ils sont capables de subvertir un système si complètement que vous ne pouvez jamais être sûr qu'ils sont clairs. Cela peut dire que c'est clair, mais le virus est si totalement sous contrôle qu'il peut empêcher un antivirus de le détecter. L'ordinateur est comme une cellule zombie, et le seul moyen d'empêcher le virus de se propager est de le tuer.

Imaginez que nous vivons dans un film d'horreur. Votre fiancé ou fiancé (selon le cas) a été maudit par une sorcière et crache maintenant du vomi de projectile tout en faisant tourner la tête de façon anormale.

En tant qu'exorciste et chirurgien du cerveau amateur, vous avez deux options:

1. Chassez totalement les démons et restaurez l'âme de votre bien-aimé dans la propriété de son corps.
2. Essayez une chirurgie cérébrale délicate de plusieurs jours sur un corps surnaturellement fort et dangereux qui combattez toutes vos tentatives.

L'option 1 est simple, bon marché et fonctionne (dans les films d'horreur).

L'option 2 nécessite des équipes de médecins hautement qualifiés et coûteux, et ne fonctionnera probablement pas parce que vous ne pouvez pas anesthésier les démons.

La restauration du logiciel à partir d'une sauvegarde est analogue à l'option 1, et contrairement à l'exorcisme, l'IRL fonctionne.

L'option 2 est analogue à l'utilisation d'administrateurs système pour vérifier les binaires du programme, les fichiers de données et les configurations par rapport à une bonne copie connue qu'ils auraient simplement pu installer sur la machine en premier lieu.

Il convient de souligner qu'il est généralement correct de transférer des données non exécutables de valeur ( sans sauvegarde récente ) à partir d'un machine, avant de sortir de l'orbite (effacer le disque dur, réinstaller le système d'exploitation à partir d'une source sûre). Des éléments tels que des documents en clair (par exemple, manuscrit en latex ou code source) ou des fichiers multimédias importants (par exemple, des images de vacances en famille) peuvent valoir la peine d'être récupérés s'il n'y a pas de sauvegarde récente. Cependant, vous devez vous méfier du fait que le virus laisse à un attaquant le contrôle total du système infecté, et l'attaquant peut avoir modifié vos données. Cela pourrait inclure l'introduction de portes dérobées dans votre code source, la création de leurs propres utilisateurs administrateurs dans vos bases de données, la modification des fichiers de configuration afin que le système soit dans une configuration faible qui puisse être attaquée à nouveau, etc. (je lirais tout le code source avec une peigne pour s'assurer qu'aucune modification subtile n'a été effectuée - et ce n'est que si ce n'est pas critique pour la sécurité). Faites également attention à ce que certains fichiers multimédias contiennent potentiellement des virus, par exemple, des documents MS Office avec des virus de macro (dans ce cas, le mieux, j'exporterais la copie du contenu du texte de .doc / .xls dans un fichier en texte brut du système infecté lorsqu'il n'est connecté à rien). Faites également attention en transférant les données de la machine infectée (pour ne pas réinfecter l'autre machine); par exemple, je ferais probablement quelque chose comme démarrer un cd live Linux, monter le disque dur infecté avec -noexec, me connecter à Internet et copier sélectivement les fichiers importants, et si possible essayer de les comparer à la sauvegarde la plus récente.

La raison de la destruction de l'orbite est que c'est le seul moyen de pouvoir utiliser à nouveau cet ordinateur en toute sécurité. Les logiciels antivirus fonctionnent en identifiant les logiciels malveillants connus et ne peuvent donc pas le faire avec une précision de 100% (et les logiciels antivirus exécutés sur un ordinateur infecté peuvent avoir été falsifiés par le virus, ce qui réduit considérablement ses chances de supprimer complètement le virus). Repartir à un point sûr signifie que vos précieuses données ne seront pas volées ou que vous n'aurez pas à répéter le processus dans une semaine (peut-être sur plus de PC à mesure que l'infection se propage). La réinstallation peut être automatisée et prend moins d'une journée; à peu près un temps équivalent pour exécuter une analyse antivirus complète sans garantie d'efficacité. Si les temps d'arrêt sont un problème, il doit y avoir une redondance dans la quantité de ressources informatiques disponibles pour l'organisation.